BTCPay, şüpheli hırsızlıkların yaklaşık 1,63 milyon dolara ulaşmasının ardından cüzdanların yenilenmesini önerdi

BTCPay Server, saldırganların Bitcoin ve Litecoin çalmasının ardından satıcılara cüzdanlarını değiştirmeleri ve güncel olmayan ödeme sunucularını yeniden kurmaları çağrısında bulundu. Açık kaynaklı Bitcoin ödeme yazılımı sağlayıcısı bu tavsiyeyi 2 Kasım tarihli güvenlik duyurusunda yayımladı. BTCPay, saldırganlar sunucuya daha önce erişim sağladıysa yazılımı güncellemenin fonları hâlâ riske açık bırakabileceği uyarısında bulundu. Saldırılar, 7 Ağustos'ta yamalanan bir güvenlik açığından yararlanmak için farklı bir yöntem kullanarak 2.4.1 ve önceki sürümleri çalıştıran kurulumları hedef aldı.

Blokzincir analiz şirketi Bitquery, 30 Ekim-2 Kasım arasında yaklaşık 1,63 milyon dolarlık şüpheli hırsızlığı izledi. Bitquery, 18,38 BTC ve 3.405 LTC'yi kapsayan 682 cüzdan boşaltma işlemi tespit etti. Bitquery, 1 Kasım'daki sekiz saatlik bir dönemin taşınan fonların %87'sini oluşturduğunu belirledi. Bitquery, en yoğun saatteki transferleri yaklaşık 725.000 dolar olarak hesapladı. BTCPay, toplam kayıpları doğrulamadı ve güvenliği ihlal edilen satıcı sayısını belirlemedi.

BTCPay operatörlere sunucuları kapatmaları yönünde kamuya açık çağrıda bulunduktan sonra da şüpheli hırsızlıklar sürdü. Bitquery, BTCPay'in 1 Kasım saat 22:25 UTC'de yaptığı uyarının ardından yaklaşık 150.000 dolar değerinde 267 cüzdan boşaltma işlemi daha tespit etti. Bitquery, şirket 2 Kasım saat 06:00 UTC'de sayımı bitirene kadar gece boyunca transferleri kaydetmeye devam etti. BTCPay, önlem olarak etkilenen kurulumların çevrimdışı bırakılması için LunaNode dahil barındırma sağlayıcılarıyla iletişime geçildiğini söyledi. BTCPay, ilk hırsızlık bildirimini e-postayla 20:56 UTC'de aldı ancak şirketin soruşturması o öğleden sonra daha erken gerçekleşen bir cüzdan boşaltma işlemini tespit etti.

BTCPay, kasım ayındaki uyarı yayımlandığında 2.4.2 veya daha yeni sürümü çalıştıran sunucuların saldırılardan etkilenmediğini söyledi. BTCPay ayrıca bildirilen hırsızlıkların, donanım cüzdanları dahil, harcama anahtarları sunucunun dışında tutulan cüzdanları etkilemediğini doğruladı. Ancak BTCPay, savunmasız sürümleri daha önce kullanmış olan operatörlere, yazılımı güncellemiş veya herhangi bir kayıp tespit etmemiş olsalar bile tamamen yeni sunucu kurulumlarına geçmelerini önerdi. Daha önce yönetici erişimi elde eden saldırganlar, güvenlik açığı yamalandıktan sonra da kullanılabilir kimlik bilgilerine veya cüzdan sırlarına sahip olabilir.

BTCPay, güvenilir bir cihaz kullanarak yeni bir kurtarma kelime dizisine sahip cüzdan oluşturulmasını ve eski sıcak cüzdanda kalan fonların taşınmasını öneriyor. Operatörler, işlem kayıtlarını ve ilgili günlükleri saklayarak mevcut sunucuları devre dışı bırakmalı. Operatörler, önceki sistemi geri yüklemeden yeni bir sanal makineye desteklenen en güncel yazılımı yüklemeli. Operatörler, ifşa edilmiş olabilecek barındırma parolalarını, SSH kimlik bilgilerini, uygulama erişim anahtarlarını, API anahtarlarını ve Lightning kimlik bilgilerini güvenilir bir cihaz kullanarak değiştirmeli.

Bitquery, 2 Kasım'ın erken saatleri itibarıyla şüpheli çalıntı fonların %99'undan fazlasının hırsızlıklar sırasında ilk kullanılan adreslerde kaldığını tespit etti. Bitquery, bilinen borsalara herhangi bir transfer belirlemedi. Bitquery, 682 cüzdan boşaltma işleminin etkilenen satıcı sayısının da aynı olduğu anlamına gelmediği uyarısında bulundu; çünkü bir cüzdandaki fonlar birden fazla işlemle boşaltılmış olabilir. BTCPay, tespit edilen adreslerle bağlantılı bazı faaliyetlerin bildirilen olaylardan önce gerçekleşmiş göründüğü uyarısında bulundu. BTCPay saldırıların tüm zaman çizelgesini belirlemedi ve hangi işlemlerin hırsızlıkla ilgili olduğunu kesin olarak saptamadı.

BTCPay, ağustos ayındaki güvenlik duyurusunun ardından güncel olmayan kurulumları kullanan operatörlere yeterince ulaşamamış olmaktan üzüntü duyduğunu belirtti. BTCPay, 29 Ekim'de yayımlanan 2.4.7 sürümü dahil ağustos ayından bu yana birkaç güvenlik güncellemesi daha çıkardı. BTCPay izinsiz erişimleri soruşturmaya, etkilenen operatörlerden bildirim ve işlem kayıtları toplamaya devam ediyor.